Cartera de identidad digital europea: la verificación de edad «sin revelar tu nombre» llega a las plataformas 18+

Imagina una verificación de edad que no pide ni documento de identidad, ni tarjeta bancaria, ni selfi. Solo una notificación en tu teléfono: «Este servicio solicita una prueba: ¿tienes más de 18 años?». La validas con un gesto. La plataforma recibe una sola palabra —«sí»— y nada más. Ni nombre, ni fecha de nacimiento, ni número de documento. Ese es el principio de la prueba de edad derivada de la cartera de identidad digital europea, y es la tercera generación de verificación de edad que llega a la entrada de los servicios reservados a adultos.

Ya hemos explicado aquí qué ocurre con un documento de identidad después de una verificación y, más recientemente, la mecánica de la estimación de edad a partir del rostro. Aquí el enfoque es distinto: se trata del tercer camino, el del atributo de edad emitido por una cartera certificada. Un mecanismo poco conocido, presentado a menudo como la solución ideal, y del que conviene entender tanto su promesa real como sus límites, en particular cuando se vive fuera de la Unión Europea.

Tres formas de demostrar que eres mayor de edad

Para situar la cartera, hay que compararla con los dos métodos que la precedieron.

La diferencia es cualitativa, no gradual. En los dos primeros casos, circula un dato personal. En el tercero, lo que circula es una certificación criptográfica: un token firmado por un emisor de confianza que el servicio puede verificar matemáticamente sin llegar a saber nunca qué se utilizó para generarlo.

El marco jurídico de esta cartera es el reglamento europeo eIDAS 2 (Reglamento (UE) 2024/1183), que obliga a cada Estado miembro a ofrecer una cartera de identidad digital a sus residentes. Paralelamente, la Comisión Europea ha financiado una aplicación de referencia de verificación de edad, llamada mini-wallet, para que los servicios puedan solicitar el atributo «mayor de 18 años» sin esperar al despliegue completo de las carteras nacionales.

El «doble ciego»: la pieza central del sistema

Si el atributo de edad simplemente viajara del emisor al servicio, quedaría un problema evidente: el emisor sabría qué servicio visitas, y a qué hora. Para un servicio reservado a adultos, eso es inaceptable.

De ahí el principio que la CNIL (Comisión Nacional de Informática y Libertades francesa) recomienda desde 2022 y que ha reafirmado en su dictamen sobre el marco técnico de la Arcom (Autoridad francesa de regulación de la comunicación audiovisual y digital): el doble anonimato, o doble ciego.

El verificador de edad no debe saber a qué sitio quiere acceder el usuario, y el sitio no debe saber quién es el usuario. Ambas ignorancias deben garantizarse técnicamente, no solo prometerse por contrato.

En concreto, el esquema funciona en tres tiempos:

1. Emisión. Una vez, previamente, obtienes de un emisor de confianza (Estado, operador de identidad digital, banco en algunos esquemas) una certificación de edad almacenada en tu cartera. El emisor sabe que te ha emitido esa certificación.
2. Almacenamiento local. La certificación permanece en tu dispositivo, protegida por el elemento seguro del teléfono y por tu código o tu huella.
3. Presentación. En el momento de la verificación, es tu dispositivo el que responde al servicio. No se consulta al emisor, por lo que no averigua nada sobre tu visita.

Este último punto es la clave. Una verificación de edad que desencadena una llamada de red al emisor en cada conexión no es de doble ciego, diga lo que diga la página de marketing. Una verificación que funciona sin conexión, únicamente con una certificación ya presente en el dispositivo, sí lo es.

La no correlación: la otra garantía, menos conocida

Queda un fallo teórico: si tu cartera presenta siempre el mismo token, dos servicios distintos pueden comparar sus registros y deducir que se trata de la misma persona. Las especificaciones europeas exigen por tanto certificaciones no correlacionables: cada presentación genera una prueba diferente, imposible de vincular con la anterior.

Para un adulto que frecuenta varias plataformas 18+, esa es la diferencia entre una verificación que protege de verdad y una verificación que crea un identificador de seguimiento entre sitios. La pregunta que hay que hacerse ante una página de verificación de edad no es solo «¿qué se me está pidiendo?», sino «¿esta prueba puede reutilizarse en mi contra?».

¿En qué punto estamos realmente en noviembre de 2026?

Hay que distinguir el calendario legal del calendario real.

• Francia. La ley SREN (ley para asegurar y regular el espacio digital) del 21 de mayo de 2024 otorga a la Arcom (Autoridad francesa de regulación de la comunicación audiovisual y digital) la potestad de adoptar un marco técnico vinculante para la verificación de edad de los servicios que difunden contenidos reservados a adultos. Ese marco, adoptado tras consulta pública y dictamen de la CNIL (autoridad francesa de protección de datos), consagra el doble anonimato como requisito y prohíbe la simple casilla de verificación. La Arcom (regulador audiovisual y digital francés) ha iniciado además procedimientos contra una treintena de sitios por falta de control de edad.
• Unión Europea. El Reglamento de Servicios Digitales (DSA) obliga a las plataformas a proteger a los menores, y la Comisión ha publicado directrices que citan explícitamente la aplicación de verificación de edad basada en la cartera. Las carteras nacionales deben estar disponibles para todos los residentes antes de finales de 2026, con una puesta en marcha progresiva.
• Reino Unido. La Online Safety Act impone desde 2025 controles «altamente eficaces». Ofcom acepta varios métodos, entre ellos la estimación facial y la verificación a través del operador móvil, pero la cartera europea no tiene allí valor jurídico.
• Rusia, Kazajistán, Bielorrusia, Ucrania. No existe equivalente de la cartera eIDAS. En Rusia la lógica es la inversa: identificación reforzada mediante los servicios estatales y un registro centralizado, bajo el control de Roskomnadzor. Para los lectores rusófonos, esto significa que un mismo servicio puede aplicar regímenes de control muy distintos según el país detectado, una cuestión que abordamos desde el ángulo normativo en nuestro artículo sobre las aplicaciones de mensajería restringidas y las normas sobre las VPN.

En la práctica, un adulto hispanohablante que hoy se conecte a una plataforma 18+ se encontrará todavía mayoritariamente con la estimación facial o la verificación mediante tarjeta bancaria. La cartera está llegando, pero aún no es el camino por defecto.

Lo que la cartera protege y lo que no protege

Aquí es donde muchos artículos se detienen demasiado pronto. Una prueba de edad anónima resuelve un problema: la fuga de identidad en el momento de la verificación. No resuelve ninguno más.

Lo que protege:

• tu nombre y tu fecha de nacimiento no llegan a la plataforma;
• ningún escaneo de documento queda durmiendo en la base de datos de un proveedor;
• el emisor no construye el historial de tus visitas;
• en caso de filtración de datos en la plataforma, no hay identidad que robar, solo un token inutilizable.

Lo que no protege:

• tu dirección IP, que la plataforma ve de todos modos, como detallamos a propósito de lo que tu operador y tu router ven de tus sesiones;
• tu dispositivo y su huella técnica;
• el contenido de tus conversaciones y lo que muestra tu cámara;
• tu hogar: una verificación de edad anónima no cambia en nada que una pareja, un compañero de piso o un vecino pueda oír o ver la sesión.

En otras palabras: la cartera desplaza el riesgo de la identidad administrativa hacia los riesgos domésticos y técnicos, que siguen corriendo enteramente de tu cuenta. Un adulto que protege su entrada pero deja la pantalla visible desde el pasillo no ha ganado nada. Un simple filtro de privacidad para pantalla, que oscurece la imagen en cuanto se mira de lado, resuelve una parte del problema que ninguna criptografía tocará jamás.

Seis preguntas que hacerse ante una verificación de edad

Puesto que varios métodos coexisten y coexistirán durante mucho tiempo, esta es la pauta de lectura útil cuando aparece la pantalla de verificación.

1. ¿Quién me pide la prueba? ¿La plataforma misma, o un proveedor externo identificado por su nombre? Un proveedor nombrado e identificable es más bien buena señal: está sujeto al RGPD y al marco técnico.
2. ¿Qué se me pide exactamente? Un booleano «mayor de edad sí/no» es el mínimo legítimo. Pedir una identidad completa para un simple acceso 18+ es desproporcionado.
3. ¿Adónde van los datos? Una política de privacidad que precisa el plazo de conservación y la ausencia de reutilización publicitaria vale más que una página en blanco.
4. ¿Hay posibilidad de elegir el método? Los marcos técnicos fomentan la pluralidad: si solo se ofrece un método y es el más intrusivo, es una señal de alarma.
5. ¿La verificación puede reproducirse en mi contra? Una prueba reutilizable idéntica es un identificador disfrazado.
6. ¿La plataforma es seria en lo demás? Aviso legal, moderación, dirección del editor: la pauta completa está en nuestro artículo sobre cómo reconocer una chatroulette 18+ seria.

Si dos respuestas de seis te incomodan, esa incomodidad es legítima: no existe ninguna obligación de someterse a una verificación cuyo alcance no se entiende.

El caso particular de las parejas

Un detalle práctico que los textos no abordan: una verificación de edad valida a una persona, no a una habitación.

Cuando dos adultos se conectan juntos ante la misma cámara, la plataforma ha comprobado la edad del titular de la cuenta. El segundo adulto presente en pantalla no ha probado nada. Jurídicamente, la responsabilidad del titular está comprometida; humanamente, la cuestión del consentimiento del segundo queda entera y no tiene nada que ver con la criptografía. Lo desarrollamos en nuestro artículo sobre cómo proteger el hogar cuando se enciende la cámara.

Dos consecuencias concretas para una pareja:

• la cuenta debe estar asumida nominalmente por uno de los dos, y ambos deben saberlo;
• el acuerdo explícito del segundo adulto sobre lo que se muestra, se graba o se interrumpe debe plantearse antes, no durante.

Una cartera de identidad no arbitra una conversación de pareja. Solo demuestra una edad.

Preparar la llegada de la cartera sin exponerse más

Algunos gestos útiles, independientes del calendario europeo.

En el dispositivo. La prueba de edad vive en tu teléfono: si el teléfono está comprometido, la prueba también. Código largo, sistema actualizado, bloqueo automático breve. Un adulto que lleva a menudo su dispositivo encima gana usando una funda cartera antirrobo RFID para evitar la lectura a distancia de los documentos sin contacto que transporta.

En la identidad separada. La cartera prueba la edad, no el anonimato de la cuenta. La dirección de correo electrónico, el seudónimo y el navegador deben permanecer compartimentados, según el método descrito en nuestro artículo sobre la separación entre seudónimo, correo y navegador. Para memorizar esas credenciales distintas sin apuntarlas en una libreta dejada a la vista, un gestor de contraseñas con llave de seguridad física sigue siendo la solución más robusta.

En el entorno. Nada de lo anterior sustituye la discreción material: una puerta que cierre, auriculares cerrados con reducción de ruido en lugar de altavoces, un fondo neutro. Para tapar una pared que cuenta demasiado, un telón de fondo liso para webcam hace un trabajo que ni la Arcom (regulador audiovisual y digital francés) ni la Comisión Europea harán por ti.

En las copias de seguridad. Si la certificación se almacena localmente, perder el teléfono obliga a solicitarla de nuevo. Apuntar de antemano a qué emisor se pidió evita media jornada de búsqueda. Una pequeña libreta con código cifrado guardada fuera de la vista vale más que un archivo llamado «identidad» en el escritorio de un ordenador compartido, tema que tratamos en nuestro artículo sobre el ordenador común del hogar.

Lo que hay que recordar

La cartera de identidad digital europea es, sobre el papel, el mejor equilibrio propuesto hasta ahora entre dos exigencias contradictorias: impedir el acceso de menores a los servicios reservados a adultos y no convertir a cada mayor de edad en un expediente identificado. Se apoya en tres pilares: atributo mínimo (un sí, no una identidad), doble ciego (nadie ve los dos extremos de la cadena), no correlación (ninguna prueba reutilizable).

Conviene, sin embargo, plantear tres reservas sin rodeos.

• Su despliegue es progresivo y europeo: fuera de la UE, en particular para el público rusófono, no tiene ningún alcance, y prevalecen otras lógicas, centralizadas y nominativas.
• Solo cubre el instante de la verificación. Todo lo que ocurre después depende de tus ajustes, de tu red, de tu habitación y de tus acuerdos con los demás adultos presentes.
• Su calidad depende de la implementación real del servicio: el vocabulario «anónimo» lo usan dispositivos que no lo son. Leer la página de política de privacidad sigue siendo la única prueba fiable.

Una verificación de edad bien diseñada no debería costarle nada a un adulto, salvo dos segundos de atención. Vamos camino de ello. Pero lo esencial de la protección de un hogar, en 2026 igual que antes, sigue sin jugarse en la puerta de entrada del servicio: se juega en la habitación donde se enciende la cámara.

Fuentes

• Reglamento (UE) 2024/1183 por el que se modifica el reglamento eIDAS (cartera europea de identidad digital), Diario Oficial de la Unión Europea.
• Comisión Europea, directrices sobre la protección de los menores en virtud del Reglamento de Servicios Digitales (DSA) y aplicación de referencia de verificación de edad.
• Arcom (Autoridad francesa de regulación de la comunicación audiovisual y digital), marco técnico sobre la verificación de la edad para el acceso a servicios que difunden contenidos reservados a mayores de edad, y consulta pública asociada.
• CNIL (Comisión Nacional de Informática y Libertades, autoridad francesa de protección de datos), dictamen sobre el proyecto de marco técnico de la Arcom (regulador audiovisual y digital francés) y recomendaciones sobre el doble anonimato en materia de verificación de edad.
• Ley n.º 2024-449, de 21 de mayo de 2024, destinada a asegurar y regular el espacio digital (SREN, ley para asegurar y regular el espacio digital).
• Ofcom, guidance on highly effective age assurance (directrices sobre garantías de edad altamente eficaces), Online Safety Act 2023.